Runbook - 03 PII Row Column Cell

Objetivo

Demonstrar controle fino de PII em linhas, colunas e celulas: funcionario ve seu proprio registro, gerente ve subordinados com SSN oculto, e RH ve dados sensiveis.

Valor De Seguranca

Protege PII e dados salariais.
Demonstra controle de coluna e celula, nao apenas RBAC simples.
Ajuda em conversas de LGPD, privacidade, RH e segregacao de funcoes.

Pre-Requisitos

Banco Oracle AI Database compativel com Oracle Deep Data Security.
SQLcl ou SQL*Plus.
Usuario com privilegios para criar data grants.

Antes - Ambiente Vulneravel

Limpe o cenario:

@scenarios/03-pii-row-column-cell/sql/99_reset.sql

Crie dados e personas, sem data grants:

@scenarios/03-pii-row-column-cell/sql/00_schema.sql
@scenarios/03-pii-row-column-cell/sql/01_seed_data.sql
@scenarios/03-pii-row-column-cell/sql/02_identities.sql

Execute a consulta ampla:

@scenarios/03-pii-row-column-cell/sql/04_test_queries.sql

Resultado Esperado Antes

Todos os funcionarios aparecem.
SSN e SALARY ficam visiveis para quem tiver acesso amplo ao objeto.
Um gerente ou usuario operacional poderia ver PII alem do necessario se a aplicacao falhar.

Depois - Aplicando Deep Data Security

Aplique data grants de funcionario, gerente e RH:

@scenarios/03-pii-row-column-cell/sql/03_data_grants.sql

Execute a mesma consulta como emma, marvin e victoria:

@scenarios/03-pii-row-column-cell/sql/04_test_queries.sql

Resultado Esperado Depois

emma ve somente seu proprio registro.
marvin ve seu registro e subordinados, mas SSN dos subordinados aparece como NULL.
victoria ve todos os registros por papel de RH.
Atualizacao de telefone e permitida apenas na linha autorizada.

Evidencias Para Demo

Screenshot mostrando SSN como NULL para gerente.
Query de update de telefone funcionando no proprio registro.
Explicacao de row, column e cell-level access.

Referencias Oficiais

Fine-Grained Data Authorization: https://docs.oracle.com/en/database/oracle/oracle-database/26/ddscg/fine-grained-data-authorization.html
Create Data Grants: https://docs.oracle.com/en/database/oracle/oracle-database/26/ddscg/create-data-grants.html
CREATE DATA GRANT SQL Reference: https://docs.oracle.com/en/database/oracle/oracle-database/26/sqlrf/create-data-grant.html

2.4 KiB Raw Blame History